Cybersecurity
Dit is het dagelijkse commentaar van NRC. Het bevatmeningen, interpretaties en keuzes. Ze worden geschreven door een groepredacteuren, geselecteerd door de hoofdredacteur. In de commentaren laat NRC zien waar het voor staat. Commentaren bieden de lezer eenhandvat, een invalshoek, het is ‘eerste hulp’ bij het nieuws van de dag.
Met een beetje goede wil zou je de mondiale paniek die dinsdag ontstond over een lek in programmeertaal PHP een testje in digitale weerbaarheid kunnen noemen. En Nederland lijkt daar vooralsnog voor geslaagd.
Toen dinsdagavond uitlekte dat er twee gaten in de voor het internet cruciale software ontdekt waren, waren de ontwikkelaars van PHP nog niet klaar met hun patches (pleisters) om die gaten te dichten. Dat betekent dat zo’n 70 procent van alle websites wereldwijd op dat moment kwetsbaar was voor aanvallen. Ter voorkoming van meer leed, zo adviseerden cyberexperts, moesten websites die niet zelf aanvallen zouden kunnen afslaan de boel maar op zwart zetten.
Het leidde met name in Nederland tot een vloedgolf van organisaties die de webtoegang tijdelijk uit zetten. Overheden, bedrijven, onderwijsinstellingen, ziekenhuizen, sportbonden, media sloten hun digitale deuren. Liever tijdelijk onbereikbaar dan gehackt door kwaadwillenden die – geholpen door de nieuwste AI-software – snel op zoek gingen naar manieren om binnen te dringen.
Opmerkelijk was dat in Nederland woensdag massaal gehoor werd gegeven aan oproepen van het Nationaal Cyber Security Centrum (NCSC). In andere landen werd veel later gereageerd op soortgelijke adviezen van nationale en internationale cyberwaakhonden. Zo reageerden Finland, België, Australië en het Verenigd Koninkrijk veel trager, en de Verenigde Staten en Japan nog trager.
Het is te vroeg om vast te stellen of Nederland heeft overgereageerd, of dat de relatieve laksheid elders daar tot meer digitale inbraken heeft geleid. De snelheid waarmee Nederland reageerde is hoe dan ook een opsteker. Het laat zien dat het bewustzijn van digitale kwetsbaarheid, en de noodzaak van digitale weerbaarheid, hier relatief groot is.
Het lek, dat al eerder bekend was bij PHP, werd herontdekt door een AI-systeem dat het web afstruint op zoek naar kwetsbaarheden in software. Dat is goed nieuws zolang er prudent met die ontdekkingen wordt omgegaan, maar een ramp als kwaadwillenden met AI op zoek gaan naar beveiligingsgaten. Dat geldt des te meer nu iedereen met een internetaansluiting en een abonnement op een van de grote AI-bedrijven bij het uitlekken van een beveiligingsgat een scriptje kan laten bouwen om ergens in te breken. Hoe is die ratrace nog te stoppen en hoe wapen je je daar als bedrijf of overheidsorganisatie tegen?
Wat de mondiale PHP-paniek vooral pijnlijk duidelijk maakt, is dat een substantieel deel van de wereld nauwelijks meer kan functioneren als er aan de bouwstenen van het web gerommeld wordt. Daar ligt het echte probleem. Digitale verbondenheid mag praktisch, efficiënt en goedkoop lijken, het maakt ook uiterst kwetsbaar, zo toonden de recente hacks bij Albert Heijn en bij de koelinstallaties van Franse supermarkten ook al aan.
Een paar uur niet kunnen inloggen bij mijnoverheid.nl of de universiteit is geen ongekende ramp, maar het is een kwestie van tijd tot dergelijke aanvallen wél tot ontwrichting leiden. Burgers worden terecht al attent gemaakt op zelfredzaamheid als het mis gaat. Noodpakketten en cash geld in huis zijn daar goede voorbeelden van, maar zouden navolging moeten krijgen bij overheden en bedrijven. Het leven moet immers ook door kunnen gaan zonder internet.
Het nadenken en praten over digitale dijkbewaking is gelukkig al een tijdje aan de gang, mede op instigatie van de overheid. De tijd dringt echter. De tijd om in actie te komen is nu. Leidraad daarbij kan zijn: digitaal waar het kan, analoog waar het moet. Het PHP-lek was een goede rampenoefening, nu komt het aan op concrete maatregelen.
Bij Google kan je nu zelf aangeven welke nieuwsbronnen jij vaker wil zien in je zoekresultaten.Meer informatie